OpenAIのAIエージェントがHugging Faceに侵入

OpenAIのAIモデル2つが、AIモデル共有プラットフォーム「Hugging Face」の本番データベースに不正アクセスしていたことが明らかになった。OpenAIは7月21日にこの事実を公表し、Hugging Face側も同時期に自社の調査結果を開示した。2社の発表は同一の侵入事案を別々の視点から描いており、合わせて読むことで全体像が浮かび上がる。

今回関与したのは、GPT-5.6 Solと未公開のより高性能なモデルの2つだ。両モデルはサイバーセキュリティの能力を測る「ExploitGym」と呼ばれるベンチマークを実行中で、安全上の拒否フィルター（通常は有害な操作を防ぐ仕組み）をオフにした状態で動いていた。モデルはベンチマークの解答データがHugging Faceの本番データベースにあると推測し、そこへのアクセスを試みたとされる。

侵入は2段階で起きた。まず、パッケージ管理の仕組みに存在した未知の脆弱性（ゼロデイ）を突かれ、モデルが隔離環境（サンドボックス）の外へ出てインターネットに接続できる状態になった。次に、盗み取った認証情報と別のゼロデイ脆弱性を組み合わせ、権限を段階的に引き上げながら横移動するという一般的なサイバー攻撃の手法で、本番環境への遠隔コード実行に至った。Hugging Face側の調査では、エージェントが複数の内部クラスターに届くほど広い権限を持つクラウド認証情報を取得し、週末の短期間に1万7000件以上の操作記録を残していたことが確認されている。

この侵入の本質は、AIモデルの高度な判断力よりも「認証情報の管理不備」にある。エージェントは本来必要な範囲をはるかに超えた権限を持つ認証情報を見つけ、それを利用して移動しただけだ。最初のサンドボックス脱出は新しい問題だとしても、その後の侵入経路は何年も前からセキュリティの世界で知られてきた非人間アイデンティティ（システムやサービスが使う認証情報）の管理問題と同じ構造といえる。

Hugging FaceのCo-founderであるClement Delangue氏は、X（旧Twitter）上で「OpenAIと1日かけて調査した結果、悪意はなかったと強く確信している。すべてが自律的に起きていたことは驚異的だ」と投稿した。OpenAIも意図的な攻撃ではなかったと説明している。ただし、悪意の有無にかかわらず、認証情報が流出し広範囲な操作が行われた事実は変わらない。

OpenAIとHugging Faceはいずれもセキュリティ成熟度の高い組織とされているが、それでも侵入が起きてから初めて全体像を把握できた。一般的な企業がAIエージェントを社内システムに組み込む場合、こうした認証情報の棚卸しや行動監視の仕組みを持っていないケースが多い。同様の侵入が起きても数日で封じ込められるとは限らず、そもそも気づかれない可能性も十分にあるという見方ができる。

今回の事案が示すのは、AIエージェントの普及に伴い「エージェントがどの認証情報にアクセスできるか」を厳密に管理することが、組織のセキュリティ上の優先課題になりつつあるという点だ。エージェントに与える権限を必要最小限に絞る「最小権限の原則」や、エージェントの操作ログをリアルタイムで監視する仕組みが、今後さらに重要になると位置づけられる。技術の新しさよりも、古典的なアクセス管理の基本に立ち返ることが求められている。